@7n/rules-ci-github 2.2.1 → 2.3.0

package/CHANGELOG.md

@@ -1,5 +1,11 @@
 # Changelog
 
+## [2.3.0] - 2026-08-01
+
+### Added
+
+- `ga/workflow_common`: маркер `n-rules:allow-<pattern>` у тілі кроку знімає заборону конкретного підрядка саме для цього кроку — потрібно там, де composite `setup-bun-deps` принципово не підходить (він робить `--frozen-lockfile`, а крок навмисно перегенеровує lock)
+
 ## [2.2.1] - 2026-07-30
 
 ### Changed

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@7n/rules-ci-github",
-  "version": "2.2.1",
+  "version": "2.3.0",
   "description": "Плагін @7n/rules: канон GitHub Actions (.github/workflows) — обов'язкові workflow, zizmor, VS Code",
   "keywords": [
     "github-actions",

package/rules/ga/workflow_common/workflow_common.rego

@@ -93,12 +93,23 @@ all_flat_steps contains entry if {
 }
 
 # ── deny: заборонені setup-bun/cache/install у будь-якому кроці ────────────
+#
+# Санкціонований виняток — маркер `n-rules:allow-<pattern>` у самому кроці
+# (`bun install` → `n-rules:allow-bun-install`). Потрібен там, де composite
+# `setup-bun-deps` принципово не підходить: він робить `--frozen-lockfile`, а
+# крок навмисно ПЕРЕгенеровує lock (реліз-синк платформних пінів). Маркер
+# живе в тілі кроку, тож виняток вузький (лише цей крок), видимий у diff-і й
+# вимагає свідомого рішення автора — на відміну від синоніма команди, який
+# обходив би правило нишком.
+allow_marker(pattern) := sprintf("n-rules:allow-%s", [replace(pattern, " ", "-")])
 
 deny contains msg if {
 	some entry in all_flat_steps
 	some pattern, hint in forbidden_step_substrings
-	step_uses_or_run_blob(entry.step) != ""
-	contains(step_uses_or_run_blob(entry.step), pattern)
+	blob := step_uses_or_run_blob(entry.step)
+	blob != ""
+	contains(blob, pattern)
+	not contains(blob, allow_marker(pattern))
 	msg := sprintf("jobs.%s.steps[%d]: %s (ga.mdc)", [entry.job_id, entry.step_index, hint])
 }